мая 2, 2023 · 5 min read

Как предприятия могут защитить свои критически важные данные и предотвратить их утечку? В этой статье мы собрали ценные советы и стратегии по обеспечению безопасности данных.

Корпоративная безопасность и GRC — что это такое и как работает

Представьте, что вы — генеральный директор банка. Вы предполагаете, что ваше очередное рабочее утро начнется как обычно — c кофе по дороге в офис и рутинной проверки почты.

Вместо этого все началось с лавины уведомлений от сотрудников о том, что они потеряли контроль над банковской системой. Что случилось? Один сотрудник просто нажал на ссылку в электронном письме, которое, казалось, было отправлено доверенным лицом. И теперь это привело к убыткам в миллионы долларов.

Это короткий рассказ об одном из самых шокирующих киберпреступлений. Carbanak, хакерская группа, также известная как Cobalt, атаковала более 100 финансовых учреждений в 40 странах и совершила около 100 взломов, похитив более $1,24 мрд. Кибербанда создала вредоносное программное обеспечение, которое контролировало банковские счета, денежные переводы, банкоматы и т. д.

К сожалению, это лишь один пример распространенных сейчас киберпреступлений. Как предприятия могут защитить свои критически важные данные и предотвратить их утечку? В этой статье мы собрали ценные советы и стратегии по обеспечению безопасности данных.

Что такое корпоративная кибербезопасность

В широком смысле решения корпоративной кибербезопасности предназначены для предотвращения интернет-атак. В зависимости от отрасли кибератака может быть диверсией, финансовым воровством, получением информации (промышленный шпионаж) или даже иметь политические мотивы. Однако у атак всегда есть одна общая черта: они наносят большой урон.

Вредоносное ПО, системные сбои, а также удаление или фальсификация баз данных могут затруднить или даже временно сделать повседневную деятельность невозможной. К этому добавляется негативная репутация, которую получает предприятие, когда атаки становятся достоянием общественности. Поэтому компаниям необходимо защищать свои внутренние и клиентские данные.

Почему предприятия должны заботиться о кибербезопасности больше, чем когда-либо

Ведущие органы власти и отраслевые ассоциации бьют тревогу: количество кибератак постоянно растет, а нанесенный ущерб уже обходится компаниям в миллиарды. Тем не менее, злоумышленники постоянно находят новые способы доступа к корпоративным сетям.

Следующие причины отвечают на вопрос, почему каждой компании нужна стратегия кибербезопасности:

Цифровая трансформация под угрозой

Ухудшение ситуации с угрозами существенно повлияло на проекты цифровой трансформации, замедляя инновации во всем мире. Более половины (55%) респондентов исследования Armis говорят, что их организации приостановили или остановили проекты цифровой трансформации из-за этих угроз. Этот процент еще выше в отдельных странах, включая Австралию (79%), США (67%), Сингапур (63%), Великобританию (57%) и Данию (56%).

Уязвимость облака

Утечка облачных данных может стоить дорого и нанести непоправимый ущерб репутации бренда. Независимо от того, виновата компания или нет, утечка информации, вызванная уязвимостью облачной безопасности, обходится предприятиям в среднем в $4,8 млн. Исследование Thales показывает, что наиболее значимыми рисками в облачных операциях являются компрометация инфраструктуры (67%) и риск третьих сторон (50%). Угрозы включают вредоносное ПО, программы-вымогатели и фишинговые атаки.

Устойчивость бизнеса

Сегодняшние отделы IT характеризуются обширными сетями: они больше не затрагивает только отдельные области компании, например, администрацию. Вместо этого IT-системы интегрированы в каждый отдел с помощью облачных сервисов или инструментов связи.

В результате сбой в одном подразделении часто влияет на другие отделы, а то и на всю компанию. Такие ситуации имеют далеко идущие финансовые последствия и могут нанести ущерб репутации компании, если из-за этого не соблюдаются договоренности.

Независимо от отрасли или размера компании, большинство предприятий имеют индивидуальные меры и стратегии кибербезопасности. Но как бизнес может предвидеть потенциальные угрозы? SAP разработала индивидуальное ПО для решения проблем, связанных с безопасностью.

Что такое SAP GRC

Решение SAP Governance, Risk, and Compliance (GRC) — это готовая стратегия и структура, которые обеспечивают безопасность и правильность развития бизнеса. Подобно управлению городом или страной, корпоративный менеджмент в компаниях определяет принципы и соглашения, по которым работают люди, а также обеспечивает контроль и поддержку достижения общих целей. Управление рисками включает выявление угроз и внедрение процессов защиты от них.

Теперь давайте рассмотрим каждую подобласть подробно:

Governance

Функция контролирует всю деятельность компании и ее соответствие бизнес-целям. Она включает в себя процессы, структуры и политики, предназначенные для контроля и мониторинга корпоративной деятельности, а также централизованное управление требованиями к конфиденциальности, записям об обработке данных и оценкам воздействия.

Используя ее, вы можете:

Определять риски для безопасности и конфиденциальности и создавать план исправлений;
Развертывать оценки зрелости и управлять ими с помощью гибких и настраиваемых шаблонов;
Управлять оценками контроля безопасности и конфиденциальности и отслеживать постоянное соблюдение требований.

Risk

Функция помогает устранять риски и смягчать их последствия за счет усиленного контроля. Она включает измерение, оценку, обслуживание, мониторинг и идентификацию угроз. Для бизнеса жизненно важно установить приоритеты, которые бы обеспечили их адекватное устранение. Для этого управление рисками включает заранее определенные планы действий и рабочие процессы.

Compliance

Эта функция помогает обеспечить соответствие деятельности внутри компании нормативным законам и правилам. Это могут быть отраслевые стандарты, такие как PCI-DSS (Стандарт безопасности данных индустрии платежных карт), правовые нормы, такие как EGDPR (Европейские общие правила защиты данных), или Закон Сарбейнса-Оксели.

Инструменты SAP GRC позволяют выявлять потенциальные риски, принимать превентивные меры, обеспечивать соответствие политикам, а также обеспечивать соответствующую оценку требований соответствия.

Как SAP GRC помогает обеспечить безопасность бизнеса

Предприятия, которым удается объединить области соблюдения требований, управления рисками и корпоративного управления, получают множество преимуществ.

1120x602_Picture_1-min_2_11zon

Цель SAP GRC — обеспечить прозрачность и безопасность. Оба индикатора служат для защиты от экономических и уголовных последствий, возникающих в результате нарушений закона и предписаний.

Интеграция GRC в существующий ландшафт SAP позволяет выявить и использовать весь потенциал решения. Архитектура интеграции разрабатывается с помощью различных стратегий и принципов системы внутреннего контроля конкретной компании.

Однако создание полностью интегрированного и автоматизированного GRC с интегрированными рисками не удастся без организованного плана. Здесь рекомендуется подход, при котором технические и организационные изменения вводятся одновременно с технологическими инновациями.

1120x430_Picture_1-min_4_11zon

1. Разработайте стратегию снижения рисков

Согласуйте управление рисками со стратегиями и возможностями;
Смоделируйте и согласуйте риски со структурой вашей организации;
Создайте каталоги рисков и действий;
Документируйте области, подверженные риску;
Проводите семинары по рискам.

2. Определите ключевые показатели эффективности

Используйте возможности опросов и построения диаграмм;
Объединяйте данные на основе категорий;
Определите движущие силы и воздействие с помощью конструктора рисков;
Расставьте приоритеты, используя индивидуальную тепловую карту.

3. Проанализируйте критерии оценки рисков

Определить уровни рисков;
Изучите сценарии «Что, если»;
Определите качественные и количественные факторы;
Автоматизируйте агрегирование рисков.

4. Настройте систему мониторинга

Обеспечьте аналитику и отчетность, включая тепловые карты;
Уведомляйте владельцев рисков с помощью автоматических оповещений и ключевых индикаторов риска;
Контролируйте эффективность реагирования;
Оценивайте влияние на бизнес-цели.